mind_controlfandomcom-20200223-history
SELinux
SELinux ( — Linux с улучшенной безопасностью) — реализация системы принудительного контроля доступа, которая может работать параллельно с классической дискреционной системой контроля доступа. Входит в стандартное ядро Linux. Также для функционирования SELinux требуются модифицированные версии некоторых утилит (ps, ls, и тд), которые обеспечивают поддержку новых функций ядра, и поддержка со стороны файловой системы. Оставаясь в рамках дискреционной системы контроля доступа, ОС имеет фундаментальное ограничение в плане разделения доступа процессов к ресурсам — доступ к ресурсам основывается на правах доступа пользователя. Это классические права rwx на трех уровнях — владелец, группа-владелец и остальные. В SELinux права доступа определяются самой системой при помощи специально определенных политик. Политики работают на уровне системных вызовов и применяются самим ядром (но можно реализовать и на уровне приложения). SELinux действует после классической модели безопасности Linux. Иными словами, через SELinux нельзя разрешить то, что запрещено через права доступа пользователей/групп. Политики описываются при помощи специального гибкого языка описания правил доступа. В большинстве случаев правила SELinux «прозрачны» для приложений, и не требуется никакой их модификации. В состав некоторых дистрибутивов входят готовые политики, в которых права могут определяться на основе совпадения типов процесса (субъекта) и файла (объекта) — это основной механизм SELinux. Две других формы контроля доступа — доступ на основе ролей и на основе многоуровневой системы безопасности (например, ДСП, секретно, совершенно секретно). Самый простой для работы и поддержки с точки зрения поддержки тип политики — так называемая «целевая» политика, разработанная в рамках проекта Fedora. В рамках политики описано более 200 процессов, которые могут выполняться в операционной системе. Все, что не описано «целевой» политикой, выполняется в домене (с типом) unconfined_t. Процессы, работающие в этом домене, не защищаются SELinux. Таким образом, все сторонние пользовательские приложения будут без всяких проблем работать в системе с «целевой» политикой в рамках классических разрешений дискреционной системы контроля доступа. Кроме «целевой» политики, в состав некоторых дистрибутивов входит политика с многоуровневой моделью безопасности (с поддержкой модели Bell LaPadula). Третий вариант политики — «строгий». Тут действует принцип «что не разрешено, то запрещено» (принцип наименьших прав). Политика основывается на Reference Policy от компании Tresys. SELinux был разработан Агентством национальной безопасности США и затем был передан разработчикам открытого кода. : From NSA Security-enhanced Linux Team: : «NSA Security-enhanced Linux is a set of patches to the Linux kernel and some utilities to incorporate a strong, flexible mandatory access control (MAC) architecture into the major subsystems of the kernel. It provides a mechanism to enforce the separation of information based on confidentiality and integrity requirements, which allows threats of tampering and bypassing of application security mechanisms to be addressed and enables the confinement of damage that can be caused by malicious or flawed applications. It includes a set of sample security policy configuration files designed to meet common, general-purpose security goals.» SELinux включён в состав ядра (начиная с версии 2.6). Реализации SE Linux доступен с коммерческой поддержкой, как часть Red Hat Enterprise Linux начиная с версии 4. В сообществе поддерживаемые дистрибутивы Linux: # Fedora Core начиная с версии 2 # Hardened Gentoo # Debian # CentOS См. также * LIDS — Linux Intrusion Detection System * Компьютерная безопасность * Возможности * Управление Национальной Безопасности США * Сравнение дистрибутивов Linux * TrustedBSD * AppArmor Ссылки * Веб-сайт SELinux (Управление Национальной Безопасности США) * Пресс-релиз УНБ США: УНБ делится улучшениями безопасности * Страница проекта SELinux на сайте FreshMeat * SELinux (UnOfficial) FAQ * Демонстрационная машина SELinux (Fedora-based) * Демонстрационная машина SELinux (Debian-based) * Демонстрационная машина SELinux (Gentoo-based) * SEBSD * SEDarwin * Перевод на русский man-страниц базовых утилит SELinux и man-страниц описания основных политик * Анатомия SELinux. Архитектура и реализация developerWorks,Тим Джонс, 23.10.2008 Категория:Linux Категория:Защита информации cs:SELinux de:SELinux en:Security-Enhanced Linux es:SELinux fi:SELinux fr:SELinux ja:SELinux nl:Security-Enhanced Linux pl:Security-Enhanced Linux pt:SELinux zh:SELinux